Wachtwoordsterkte checker

Ja. De controle gebeurt volledig in je browser; je wachtwoord wordt nooit naar ons gestuurd of opgeslagen. De optionele lekcontrole stuurt alleen de eerste 5 tekens van een SHA-1-hash, die niet terug te rekenen is naar je wachtwoord. Toch is het slimst om een wachtwoord te testen dat op het jouwe lijkt, in plaats van het echte.

We gebruiken zxcvbn, de open-source schatter van Dropbox. In plaats van alleen soorten tekens te tellen, zoekt hij naar de patronen die aanvallers als eerste proberen: veelgebruikte wachtwoorden, woorden, namen, datums, toetsenbordrijen zoals qwerty, herhalingen en reeksen. Daarna schat hij hoeveel pogingen een aanvaller nodig heeft.

De online tijd gaat uit van iemand die via de inlogpagina van een website raadt; meestal is dat beperkt tot zo'n 100 pogingen per uur. De offline tijd gaat uit van een gehackte site waarvan de wachtwoorddatabase is gelekt, zodat aanvallers op eigen hardware 100 miljard pogingen per seconde kunnen doen. Je wachtwoord moet dat offline scenario overleven.

Hij gebruikt de gratis dienst Pwned Passwords van Have I Been Pwned, met honderden miljoenen wachtwoorden uit echte datalekken. Je browser stuurt de eerste 5 tekens van de SHA-1-hash, krijgt alle gelekte hashes terug die zo beginnen en vergelijkt die lokaal. De dienst weet dus nooit welk wachtwoord je controleerde.

Voor de meeste accounts wel, zolang je het nergens anders gebruikt. Kies voor je e-mail, bank en wachtwoordmanager "Zeer sterk": een willekeurig wachtwoord van 16 tekens of meer, of een wachtzin van 6 willekeurige woorden.

Omdat aanvallers die truc kennen. Letters vervangen door lijkende symbolen, een hoofdletter vooraan en een cijfer of "!" aan het eind zijn het eerste wat kraakprogramma's proberen. Echte sterkte komt uit lengte en toeval, en dat is precies wat onze wachtwoordgenerator geeft.